Solar appScreener 3.6 тестирует на уязвимости согласно требованиям ЦБ

Solar appScreener 3.6 тестирует на уязвимости согласно требованиям ЦБ

Компания «Ростелеком-Солар» объявляет о выходе новой версии анализатора защищенности приложений Solar appScreener 3.6. Система позволяет проводить тестирование программного обеспечения на уязвимости и НДВ для соответствия четвертому оценочному уровню доверия (ОУД4) согласно требованиям положений Банка России.

По запросам российских клиентов в новой версии предусмотрена возможность тестирования приложений на уязвимости и НДВ для соответствия четвертому оценочному уровню доверия (ОУД4), согласно пункту 7.6 национального стандарта Российской Федерации ГОСТ Р ИСО/МЭК 15408-3-2013. Такое тестирование актуально для заказчиков финансовой сферы, поскольку нормативные документы Банка России обязывают организации данной отрасли с 1 июля 2020 года проводить анализ уязвимостей прикладного ПО, используемого в платежных и иных финансовых операциях. Теперь пользователям Solar appScreener доступен отчет о содержащихся в приложении уязвимостях и НДВ непосредственно в формате ОУД4.

Не оставив в стороне и пожелания зарубежных заказчиков, разработчики реализовали в версии 3.6 поддержку языка программирования Pascal. Этот язык, который является предшественником Delphi, лежит в основе разнообразных legacy-систем, активно используемых западными организациями для внутренних нужд.

«В 90-х годах прошлого века варианты языка Pascal широко использовались для создания различного ПО, начиная с исследовательских приложений и заканчивая компьютерными играми. Сегодня производный язык Object Pascal применяется для разработки некоторых Windows-приложений. Теперь, вместе с поддержкой Pascal, Solar appScreener может анализировать приложения на 34 языках программирования, превосходя по этому показателю все конкурирующие системы как на отечественном, так и на мировом рынке», – подчеркнул руководитель направления Solar appScreener компании «Ростелеком-Солар» Даниил Чернов.

Важным шагом в направлении развития автоматизации сканирования кода на уязвимости стала более тесная интеграция Solar appScreener с системами хранения и управления версиями кода (репозиториями) GitLab, GitHub и Bitbucket. Данная интеграция позволяет анализатору самостоятельно отслеживать появление новой версии кода в репозитории, автоматически запускать анализ новых частей кода на уязвимости с возможностью последующей отправки результатов сканирования ответственному сотруднику. Ранее эта функциональность требовала ручной настройки, а начиная с версии 3.6, доступна «из коробки». Стоит отметить, что отслеживание появления нового кода в репозитории теперь реализовано не через CI/CD-сервер, а непосредственно из репозитория через push- и tag-события. Такой способ отслеживания удобен для компаний, в которых не используются CI/CD-сервера или же разработка ведется, минуя их.

Также в новой версии был сделан ряд доработок, направленных на повышение удобства и комфорта работы с системой. Так, в интерфейсе анализатора появилась опция создания пустых проектов без сканирований с возможностью предварительной настройки интеграции с репозиториями для проведения автоматизированного анализа кода в будущем. Эта функция актуальна, например, в тех случаях, когда разработчики не успевают подготовить код к завершению внедрения Solar appScreener в компании, а заказчик хотел бы начать отслеживание уязвимостей в приложении с более-менее полной версии.

Кроме того, в интерфейсе была реализована возможность скачать журналы событий (логи). Эта информация полезна, например, когда при запуске сканирования была допущена какая-либо ошибка и процесс анализа не выполнен корректно, но заказчик самостоятельно не может разобраться в причине. В этом случае теперь пользователь сможет за пару кликов выгрузить из системы необходимые лог-файлы, и специалисты технической поддержки Solar appScreener смогут оперативно устранить ошибку и помочь корректно запустить процесс.

А для крупных компаний, в которых уже используется мониторинг работоспособности систем с помощью инструментов мультиплатформенной аналитики Prometheus и интерактивной визуализации Grafana, дополнительным преимуществом станет реализованная в версии 3.6 поддержка этих инструментов мониторинга. Эта функциональность востребована заказчиками, для которых важно иметь актуальную информацию о состоянии анализатора в конкретный момент времени: данные о наличии каких-либо задержек в процессах или сбоев, загруженности и производительности системы и т. п.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

PyPI приостановил регистрацию новых пользователей из-за вредоноса

Популярный репозиторий Python Package Index (PyPI) ограничил возможность регистрации новых пользователей после масштабной вредоносной кампании по распространению трояна, похищающего данные.

PyPI — одно из первых мест, куда идут разработчики на Python, пытаясь найти нужные пакеты. Из-за популярности репозиторий не раз становился объектом внимания киберпреступников.

Именно такую кампанию злоумышленники запустили на днях, из-за чего администраторам PyPI пришлось приостановить регистрацию новых пользователей на площадке.

 

О кибероперации также написали исследователи из Checkmarx. По их словам, атакующие сразу начали с загрузки 365 пакетов, чьи имена были замаскированы под легитимные проекты.

Все злонамеренные пакеты включали вредоносный код в файле «setup.py», который выполнялся в процессе установки. Этот код пытается получить дополнительный пейлоад с удалённого сервера.

Для ухода от детектирования вредонос зашифрован с помощь модуля Fernet, а URL командного центра собирается динамически при необходимости.

Конечный пейлоад представляет собой троян, ворующий данные пользователей, сохранённые в браузерах: логины и пароли, cookies и крипторасширения.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru